کمیته مدیریت ریسک و انطباق

1) انتصاب و حکم

• ایجاد و حفظ ریسک اشتها و اصول انطباق
• تصویب سیاست های کلیدی/استانداردها و تغییرات آنها ؛
• کنترل خطرات کلیدی (عملیاتی، نظارتی، امنیت اطلاعات/حریم خصوصی، مالی، اشخاص ثالث) ؛
• معیارهای انطباق و SLO/SLA را ایجاد می کند و موفقیت آنها را نظارت می کند ؛
• رفع مشکلات و اولویتهای متضاد ؛
• یک حالت آماده حسابرسی (پایه شواهد، پروتکل های راه حل) را فراهم می کند.

2) ترکیب و استقلال

• انطباق سرب/DPO (شرکت صندلی)
• CISO/رئیس امنیت (همکاری)
• رئیس حقوقی
• رئیس ریسک/ریسک سازمانی
• CFO/امور مالی (برای ارزیابی تاثیر)
• نماینده کسب و کار/محصول (VP/مدیر)
• مدیر پلت فرم/زیرساخت یا نماینده CTO

• حسابرسی داخلی (ناظر)
• HR/L & D (آموزش/ارزیابی)
• تدارکات/فروشنده Mgmt (اشخاص ثالث)
• داده ها/پلت فرم (DWH/Lineage/CCM)

اصول استقلال: عدم تضاد منافع، مستندسازی تجدید نظرها، تثبیت نقش ناظران.

3) کمیته RACI

(R - مسئول ؛ الف - مسئولیت پذیری ؛ C - مشاوره ؛ من - مطلع)

4) مقررات و فرکانس

حالت عادی: یک بار در ماه (90 دقیقه) + نظارت بر KPI/KRI اکسپرس هفتگی (15 دقیقه).
حالت بحران (حادثه/تنظیم کننده): جلسات هر 24-48 ساعت تا تثبیت.
حد نصاب: ≥ 2/3 از رای دهندگان، از جمله یک رئیس مشترک.
راه حل: اکثریت ساده ؛ با توجه به پر خطر - 2/3 و حق وتوی رؤسای مشترک (ثابت در منشور).

5) مصنوعات ورودی (ورودی)

ثبت ریسک و نقشه حرارتی (به روز شده KRI).
KPI/SLO انطباق: DSAR/SLA، بهداشت دسترسی، رانش، پوشش شواهد и др.
تغییر ورود به سیستم توسط سیاست (عمده/جزئی/اضطراری).
چشم پوشی-ثبت نام با تاریخ انقضا و کنترل جبران.
حوادث و یافته ها: Sev1/Sev2، تکرارپذیری، وضعیت اصلاح.
خطر فروشنده: ارائه دهندگان مهم، نقض SLA/گواهی.
حسابرسی/ارزیابی: وضعیت، نظرات باز، آمادگی دکمه.

6) خروجی ها و مصنوعات (خروجی)

پروتکل تصمیم گیری با مالک، تاریخ، شدت و اثر خطر مورد انتظار.
به روز رسانی بیانیه ریسک اشتها و اولویت.
به روز رسانی/رد سیاست ها و چشم پوشی با شرایط.
نامه های تشدید/راه حل برای هیئت مدیره/مدیر عامل در معرض خطر بالا.
ارتباطات یک پیجر و وظایف برای دستورات (بلیط در ITSM/GRC).

7) احضار معمولی (60-90 دقیقه)

1. خلاصه KPI/KRI و انحرافات (10").

2. Incidents/Sev1-updates و دروس (15")

3. سیاستمداران: تغییرات عمده، تفسیرهای متضاد، محلی سازی (15").
4. اشخاص ثالث: نقض SLA/گواهی، زیر پردازنده (10").
5. چشم پوشی: تمدید/نزدیک، مناطق قرمز (10").
6. حسابرسی/ارزیابی: وضعیت آماده و "بسته حسابرسی" (10").
7. راه حل ها و تخصیص کار (10").

8) روش های تصمیم گیری و تشدید

کارت تصمیم (الگو): زمینه → گزینه → تاثیر بر خطر/هزینه → توصیه → رای گیری.
تشدید: اگر خطر> اشتها یا بزهکاری> SLA - را به اجرایی/هیئت مدیره.
مرور: پس از ارزیابی واقعی از اثر تصمیم پس از 30-60 روز (بررسی تاثیر).

9) ادغام و جریان پایان به پایان

RBA: findings → احضاریه کمیته → owner/due → closing control.
CCM (نظارت مستمر): هشدارها/معیارها → اولویت بندی قانون/آستانه.
سیاست چرخه زندگی/تغییر Mgmt: ویرایش عمده → به روز رسانی، ارتباطات، آموزش.
فروشنده DD/برون سپاری: مدل امتیاز دهی و لیست شکاف → شرایط قرارداد/SLA.
Incident Mgmt: SOAR/PR/Legal playbooks → گزارش ها و درس ها.

10) معیارهای عملکرد کمیته

در زمان بازسازی:٪ از وظایف کمیته در زمان بسته (با شدت).
زمان سرب تصمیم گیری: زمان متوسط از مطرح کردن موضوع به حل.
چشم پوشی بهداشت:٪ محرومیت با تاریخ انقضا فعلی (هدف: 100٪).
نسبت تکرارها در 12 ماه (هدف: ↓).
زمان آمادگی حسابرسی: ساعت به کامل «بسته حسابرسی».
شاخص کاهش ریسک: ∆ کل نرخ ریسک QoQ.
SLA ارتباطات:٪ از نقش ها به موقع توسط راه حل های عمده اطلاع داده می شود.

11) منشور کمیته (قالب)

هدف: نظارت بر ریسک و انطباق ؛ حفاظت از منافع شرکت و مشتریان

محدوده: تمام حوزه های قضایی/خطوط کسب و کار/سیستم های فناوری اطلاعات/اشخاص ثالث.

اقتدار: تصویب سیاست ها/استثنائات ؛ پرس و جو داده ها/ممیزی ؛ افزایش در هیئت مدیره

ترکیب و حد نصاب: (§ 2 و § 4 را ببینید).
تضاد منافع: اعلامیه ها، recusals، مجله.
پروتکل ها: استاندارد دقیقه کامل (دستور کار، راه حل ها، صداها، مالک، به دلیل، لینک به شواهد).
تجدید نظر در منشور: سالانه یا به درخواست هیئت مدیره.

12) قالب های سند

12. 1 کارت تصمیم گیری

موضوع/زمینه/مقررات/خطرات

گزینه ها و ارزیابی (هزینه، زمان بندی، تاثیر بر SLA/KRI)

توصیه پس از تصمیم گیری و سطح ریسک

مالک عملکرد و تاریخ تحویل

نتیجه رای گیری (برای/مخالف/ممتنع)

12. ۲ دقیقه از جلسه

تاریخ/حد نصاب/شرکت کنندگان

دستور کار

بحث (مختصر، مورد به مورد)

راه حل (مالک, به دلیل, متریک موفقیت)

مسائل باز/تشدید

برنامه های کاربردی (داشبورد، گزارش، لینک به آرشیو WORM)

12. 3 ماتریس ریسک پذیری (مثال)

13) داشبورد کمیته (حداقل)

Heatmap ریسک: احتمال × تاثیر × خطر باقی مانده

مرکز انطباق KPI: DSAR، بهداشت دسترسی، رانش، پوشش شواهد.
حوادث و یافته ها: Sev1/Sev2، MTTR، تکرارپذیری.
تغییرات سیاست: عمده/جزئی/خط لوله اضطراری و وضعیت آموزش.
خطرات فروشنده: گواهینامه ها، SLA ها، زیر پردازنده ها، حوادث.
چشم پوشی & مهلت: فعال/منقضی شده, تشدید.
آمادگی حسابرسی: درصد «بسته حسابرسی» توسط ممیزی/گواهینامه ها.

14) تقویم سال کمیته

ماهانه: برنامه منظم (§ 7).
سه ماهه: تجدید نظر در مورد ریسک پذیری، روند KPI/KRI، کل یافته ها.
نیم سال: تجدید نظر در سیاست های کلیدی و نمونه کارها چشم پوشی.
سالانه: منشور کمیته، برنامه حسابرسی/صدور گواهینامه، درس های آموخته شده.

15) حالت بحران (Sev1/Regulatory)

گردهمایی فوری ؛ به روز رسانی نبرد ریتم (به عنوان مثال،. هر 4 ساعت)

ارتباطات یکپارچه (حقوقی/PR)، کنترل قانونی.
راه حل برای کنترل دسترسی/غیر فعال کردن ادغام/جداسازی داده ها.
پروتکل حادثه جداگانه و پس از مرگ با اقدامات.

16) ضد گلوله

کمیته به عنوان یک «صندوق پستی» بدون اختیار و مهلت.
فقدان پروتکل ها و شواهد - بحث در حسابرسی.
چشم پوشی دائمی بدون تاریخ انقضا و کنترل جبران.
برنامه های غیر قابل حل: بدون کارت های تصمیم گیری، بدون گزینه و بدون برآورد اثر.
KPI ها بدون مالک و ارتباط با ریسک پذیری.

تعارض منافع بدون بازپرداخت مدیریت شده

17) مدل بلوغ کمیته (M0-M4)

M0 Hell-hoc: جلسات نادر، بدون معیارها و پروتکل ها.
M1 رسمی: منشور، سهمیه، دقیقه اساسی، جلسات ماهانه.
M2 قابل کنترل: داشبورد KPI/KRI، کارت های تصمیم گیری، کنترل چشم پوشی.
M3 یکپارچه: ارتباط با CCM/RBA/سیاست به عنوان کد، «حسابرسی آماده توسط دکمه».
M4 اطمینان: KRI های پیش بینی شده، تشدید خودکار، تصمیمات منظم بررسی تاثیر.

18) مقالات ویکی مرتبط

حسابرسی مبتنی بر ریسک (RBA)

نظارت بر انطباق مداوم (CCM)

KPI ها و معیارهای انطباق

سیاست انطباق مدیریت تغییر

چرخه عمر سیاست ها و رویه ها

علت سعی و کوشش و خطرات برون سپاری

نگهداری قانونی و انجماد داده ها

مجموع

یک کمیته قوی «جلسه» نیست، بلکه یک مکانیسم مدیریت ریسک است: یک حکم روشن، استقلال و حد نصاب، داده ها در داشبورد، تصمیم گیری با صاحبان و مهلت ها، اجرای و پایه شواهد. پس از آن انطباق به یک ستون قابل پیش بینی استراتژی تبدیل می شود و نه یک کشیدن در کسب و کار.